Out-of-Bounds-Lesezugriff im DicomStreamReader Meta-Header-Parser

Beschreibung

while (pos + 8 <= block.size())                                // prüft 8 Byte verfügbar
{
  DicomTag tag = ReadTag(p + pos, true);
  ValueRepresentation vr = StringToValueRepresentation(
    std::string(p + pos + 4, 2), true);

  if (IsShortExplicitTag(vr))
  {
    uint16_t length = ReadUnsignedInteger16(p + pos + 6, true); // nicht vertrauenswürdige Länge

    std::string value;
    value.assign(p + pos + 8, length);   // KEINE PRÜFUNG: pos+8+length <= block.size()
    pos += length + 8;
  }

else if (pos + 12 <= block.size())
  {
    uint32_t length = ReadUnsignedInteger32(p + pos + 8, true); // nicht vertrauenswürdige 32-Bit-Länge

    if (tag.GetGroup() == 0x0002)
    {
      std::string value;
      value.assign(p + pos + 12, length); // KEINE PRÜFUNG: pos+12+length <= block.size()
    }

    pos += length + 12;
  }

uint16_t length = ReadLittleEndianUint16(dicom + position + 6);
if (position + 8 + length > size)    // DIESE PRÜFUNG FEHLT IM DicomStreamReader
{
  return false;
}
value.assign(dicom + position + 8, length);

==1==ERROR: AddressSanitizer: heap-buffer-overflow on address 0xffff9423cebd
READ of size 64 at 0xffff9423cebd thread T16
    #0 in __interceptor_memcpy
    #3 in std::__cxx11::basic_string::assign() basic_string.h:1443
    #4 in Orthanc::DicomStreamReader::HandleMetaHeader() DicomStreamReader.cpp:208
    #8 in Orthanc::DicomStreamReader::LookupPixelDataOffset() DicomStreamReader.cpp:740
    #9 in Orthanc::ServerContext::StoreAfterTranscoding() ServerContext.cpp:683
    #13 in UploadDicomFile OrthancRestApi.cpp:246

0xffff9423cebd is located 0 bytes to the right of 157-byte region [0xffff9423ce20,0xffff9423cebd)
allocated by thread T16 here:
    #4 in Orthanc::StreamBlockReader::Schedule() DicomStreamReader.cpp:49

Auswirkung

• Out-of-Bounds-Heap-Lesezugriff von etwa 64 Bytes während eines DICOM-Datei-Uploads über POST /instances.
• Im untersuchten Pfad existiert kein Exfiltrationskanal: Der Wert des betroffenen Tags wird von VisitMetaHeaderTag() ausschließlich auf die Transfer Syntax UID geprüft und anschließend verworfen. Eine Offenlegung von Informationen ist theoretischer Natur.
• Der 64-Byte-Lesezugriff bleibt auf Standard-Builds innerhalb erreichbarer Heap-Seiten; weder Absturz noch Denial-of-Service treten auf.

Abhilfe

Aktualisieren Sie Orthanc auf Version 1.12.11 oder höher. Der Patch fügt die fehlenden Prüfungen pos + 8 + length <= block.size() und pos + 12 + length <= block.size() vor den value.assign()-Aufrufen ein und gleicht damit die bestehende Logik in DicomMap::ReadNextTag an.

Checkliste für Betreiber

• Version prüfen.

  curl -u <user>:<pass> http://<orthanc>:8042/system | jq .Version — der gepatchte Bereich beginnt bei 1.12.11.

• Betroffenen Endpunkt einschränken.

  Beschränken Sie POST /instances an Ihrem Reverse-Proxy auf die IP-Bereiche der Bildgebungsmodalitäten und Integrationsdienste, die Studien legitim hochladen.

• Zugangsdaten überprüfen.

  Auch wenn der publizierte CVSS-Vektor PR:N verwendet, erfordern Deployments mit HTTP-Authentifizierung auf /instances einen authentisierten Benutzer. Prüfen Sie RegisteredUsers in orthanc.json und ein externes Authentifizierungsbackend auf veraltete oder überprivilegierte Konten.

• Upload-Logs auf manipulierte DICOM prüfen.

  Suchen Sie nach POST /instances-Aufrufen mit ungewöhnlichen Antworten und nach Parser-Fehlerlogs, die das Meta-Header-Parsing referenzieren.

• ASAN-instrumentierten Test-Build planen.

  In hochkritischen Umgebungen empfiehlt sich, den gepatchten Build mit modalitätsherstellerspezifischen DICOM-Beispielen gegen eine AddressSanitizer-instrumentierte Orthanc-Instanz zu validieren, um Regressionen und verbleibende Out-of-Bounds-Lesezugriffe in benachbarten Meta-Header-Pfaden auszuschließen.

Bewertung im Detail

Referenzen

• CVE-2026-5437 (NVD)
• VU#536588 (CERT/CC)
• Orthanc Fix-Commit
• Vendor Release Announcement (v1.12.11)

So können wir helfen

• DICOM-Sicherheitstests
• MDR-Penetrationstests
• §17 MPBetreibV